SCHLUSSANTRÄGE DES GENERALANWALTS
MANUEL CAMPOS SÁNCHEZ-BORDONA
vom 19. Mai 2022(1)
Rechtssache C‑180/21
VS
gegen
Inspektor v Inspektorata kam Visshia sadeben savet,
Beteiligte:
Teritorialno otdelenie – Petrich kam Rayonna prokuratura – Blagoevgrad
(Vorabentscheidungsersuchen des Administrativen sad – Blagoevgrad [Verwaltungsgericht Blagoevgrad, Bulgarien])
„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 4 und 6 – Richtlinie (EU) 2016/680 – Art. 1, 2 bis 4 und 9 – Rechtmäßigkeit der Verarbeitung personenbezogener Daten im Rahmen eines Strafverfahrens – Verarbeitung personenbezogener Daten des Opfers einer Straftat zum Zweck seiner späteren Anklage und der Verteidigung der Staatsanwaltschaft in einem Zivilverfahren – Wendung ‚für einen anderen … [Zweck] als den, für den die personenbezogenen Daten erhoben werden‘“
1. Ein fundamentaler Grundsatz der Verordnung (EU) 2016/679(2), der allgemeinen Regelung zum Schutz personenbezogener Daten, und der Richtlinie (EU) 2016/680(3) (lex specialis für dieselbe Materie bei Strafverfahren) besteht darin, die Erhebung solcher Daten ebenso wie ihre Verarbeitung auf die spezifischen gesetzlich festgelegten Zwecke zu beschränken.
2. In dieser Rechtssache hat der Gerichtshof Fragen eines bulgarischen Gerichts nach der Auslegung der DSGVO und der Richtlinie 2016/680 zu beantworten, um zu klären, ob eine rechtswidrige Verarbeitung personenbezogener Daten, die sich im Besitz der Staatsanwaltschaft eines Mitgliedstaats befinden, vorliegt, wenn
– zum einen diese Daten bei einer Person erhoben worden sind, die ursprünglich als Opfer geführt, zu einem späteren Zeitpunkt im selben Strafverfahren jedoch zum Beschuldigten wurde,
– zum anderen die Staatsanwaltschaft Daten aus mehreren strafrechtlichen Ermittlungen als Beweismittel gegen eine zivilrechtliche Klage verwenden will, mit der der Dateninhaber wegen der überlangen Dauer des Strafverfahrens eine Entschädigung verlangt.
A. Rechtlicher Rahmen: Recht der Europäischen Union
1. DSGVO
3. In Art. 2 („Sachlicher Anwendungsbereich“) heißt es:
„(1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
(2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten
a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt;
…
d) durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.
…“
4. Art. 4 („Begriffsbestimmungen“) sieht vor:
„Im Sinne dieser Verordnung bezeichnet der Ausdruck:
…
2. ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
…
7. ‚Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
…“
5. Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) bestimmt:
„(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (‚Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken (‚Zweckbindung‘);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (‚Datenminimierung‘);
…“
6. In Art. 6 („Rechtmäßigkeit der Verarbeitung“) heißt es:
„(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
…
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
…
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
…
(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
a) Unionsrecht oder
b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten … Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.
(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem
a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,
b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,
c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,
d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,
e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.“
2. Richtlinie 2016/680
7. Art. 1 („Gegenstand und Ziele“) sieht vor:
„(1) Diese Richtlinie enthält Bestimmungen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.
(2) Gemäß dieser Richtlinie haben die Mitgliedstaaten:
a) die Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere deren Recht auf Schutz personenbezogener Daten, zu schützen …
…“
8. Art. 2 („Anwendungsbereich“) bestimmt:
„(1) Diese Richtlinie gilt für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zu den in Artikel 1 Absatz 1 genannten Zwecken.
…
(3) Diese Richtlinie findet keine Anwendung auf die Verarbeitung personenbezogener Daten
a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt,
…“
9. Art. 3 übernimmt in den Nrn. 1, 2 und 8 die Definitionen in Art. 4 Nrn. 1, 2 und 7 der DSGVO.
10. Art. 4 („Grundsätze in Bezug auf die Verarbeitung personenbezogener Daten“) bestimmt:
„…
(2) Eine Verarbeitung durch denselben oder einen anderen Verantwortlichen für einen anderen der in Artikel 1 Absatz 1 genannten Zwecke als den, für den die personenbezogenen Daten erhoben werden, ist erlaubt, sofern
a) der Verantwortliche nach dem Unionsrecht oder dem Recht der Mitgliedstaaten befugt ist, solche personenbezogenen Daten für diesen anderen Zweck zu verarbeiten, und
b) die Verarbeitung für diesen anderen Zweck nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich und verhältnismäßig ist.
…“
11. Art. 6 („Unterscheidung verschiedener Kategorien betroffener Personen“) sieht vor:
„Die Mitgliedstaaten sehen vor, dass der Verantwortliche gegebenenfalls und so weit wie möglich zwischen den personenbezogenen Daten verschiedener Kategorien betroffener Personen klar unterscheidet, darunter:
a) Personen, gegen die ein begründeter Verdacht besteht, dass sie eine Straftat begangen haben oder in naher Zukunft begehen werden,
b) verurteilte Straftäter,
c) Opfer einer Straftat oder Personen, bei denen bestimmte Fakten darauf hindeuten, dass sie Opfer einer Straftat sein könnten, und
d) andere Parteien im Zusammenhang mit einer Straftat, wie Personen, die bei Ermittlungen in Verbindung mit der betreffenden Straftat oder beim anschließenden Strafverfahren als Zeugen in Betracht kommen, Personen, die Hinweise zur Straftat geben können, oder Personen, die mit den unter den Buchstaben a und b genannten Personen in Kontakt oder in Verbindung stehen.“
12. Art. 8 („Rechtmäßigkeit der Verarbeitung“) lautet:
„(1) Die Mitgliedstaaten sehen vor, dass die Verarbeitung nur dann rechtmäßig ist, wenn und soweit diese Verarbeitung für die Erfüllung einer Aufgabe erforderlich ist, die von der zuständigen Behörde zu den in Artikel 1 Absatz 1 genannten Zwecken wahrgenommen… wird, und auf Grundlage des Unionsrechts oder des Rechts der Mitgliedstaaten erfolgt.
(2) Im Recht der Mitgliedstaaten, das die Verarbeitung innerhalb des Anwendungsbereichs dieser Richtlinie regelt, werden zumindest die Ziele der Verarbeitung, die personenbezogenen Daten, die verarbeitet werden sollen, und die Zwecke der Verarbeitung angegeben.“
13. Art. 9 („Besondere Verarbeitungsbedingungen“) lautet:
„(1) Personenbezogene Daten, die von zuständigen Behörden für die in Artikel 1 Absatz 1 genannten Zwecke erhoben werden, dürfen nicht für andere als die in Artikel 1 Absatz 1 genannten Zwecke verarbeitet werden, es sei denn, eine derartige Verarbeitung ist nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zulässig. Wenn personenbezogene Daten für solche andere Zwecke verarbeitet werden, gilt die [DSGVO], es sei denn, die Verarbeitung erfolgt im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt.
(2) Sind nach dem Recht der Mitgliedstaaten zuständige Behörden mit der Wahrnehmung von Aufgaben betraut, die sich nicht mit den für die in Artikel 1 Absatz 1 genannten Zwecke wahrgenommenen Aufgaben decken, gilt die [DSGVO] für die Verarbeitung zu diesen Zwecken – wozu auch im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke zählen –, es sei denn, die Verarbeitung erfolgt im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt.
…“
B. Nationales Recht
1. Verfassung der Republik Bulgarien(4)
14. Art. 127 sieht die ausschließliche Zuständigkeit der Staatsanwaltschaft für die Leitung strafrechtlicher Ermittlungen, für Anklagen aufgrund einer strafrechtlichen Verantwortlichkeit und für die Erhebung der Strafklage bei Gericht im Fall von Offizialdelikten vor.
2. Zakon za zashtita na lichnite danni(5)
15. Art. 1 bestimmt:
„(1) Dieses Gesetz regelt öffentliche Angelegenheiten im Zusammenhang mit dem Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, soweit diese Verarbeitung nicht der [DSGVO] unterliegt.
(2) Dieses Gesetz regelt auch den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zweck der Verhütung, Aufdeckung, Ermittlung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit und Ordnung.
…“
16. Art. 17 sieht vor:
„(1) Die Aufsichtsbehörde beim Obersten Justizrat überprüft und überwacht die Einhaltung der [DSGVO], dieses Gesetzes und der Rechtsakte zum Schutz personenbezogener Daten bei deren Verarbeitung durch
1. die Gerichte in Wahrnehmung ihrer Aufgaben als Organe der Rechtspflege und
2. die Staatsanwaltschaft und die Ermittlungsbehörden in Wahrnehmung ihrer Aufgaben als Organe der Rechtspflege zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung.
…“
17. Art. 42 bestimmt:
„(1) Die Vorschriften dieses Kapitels gelten für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit und Ordnung.
(2) Personenbezogene Daten, die für die in Absatz 1 genannten Zwecke erhoben werden, dürfen nicht für andere Zwecke verarbeitet werden, sofern nicht das Unionsrecht oder die Rechtsvorschriften der Republik Bulgarien etwas anderes bestimmen.
(3) Wenn die nach Absatz 1 zuständigen Behörden personenbezogene Daten zu anderen als zu den in Absatz 1 genannten Zwecken sowie in den in Absatz 2 genannten Fällen verarbeiten, gelten die [DSGVO] und die einschlägigen Bestimmungen des vorliegenden Gesetzes, mit denen Durchführungsvorschriften zu dieser Verordnung erlassen werden.
(4) Zuständige Behörden im Sinne von Absatz 1 sind die Behörden, die für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit und Ordnung, zuständig sind.
(5) Soweit gesetzlich nicht anders bestimmt, ist Verantwortlicher im Sinne dieses Kapitels für die Verarbeitung personenbezogener Daten für die Zwecke des Absatzes 1 die zuständige Behörde im Sinne von Absatz 4 oder die diese Behörde umfassende Verwaltungsstruktur, die allein oder gemeinsam mit anderen Behörden die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt.“
18. In Art. 45 heißt es:
„…
(2) Die Verarbeitung personenbezogener Daten durch den Verantwortlichen, der diese ursprünglich erhoben hat, oder durch einen anderen Verantwortlichen für einen anderen der in Artikel 42 Absatz 1 genannten Zwecke als den, für den die Daten ursprünglich erhoben wurden, ist erlaubt, sofern
1. der Verantwortliche nach dem Recht der Europäischen Union oder den Rechtsvorschriften der Republik Bulgarien befugt ist, personenbezogene Daten für diesen anderen Zweck zu verarbeiten, und
2. die Verarbeitung für diesen anderen Zweck nach dem Recht der Europäischen Union oder den Rechtsvorschriften der Republik Bulgarien erforderlich und verhältnismäßig ist.
…“
19. Art. 47 gibt Art. 6 der Richtlinie 2016/680 wieder.
20. Art. 49 lautet:
„Die Verarbeitung personenbezogener Daten ist rechtmäßig, wenn sie für die Ausübung der Befugnisse der zuständigen Behörde für die in Artikel 42 Absatz 1 genannten Zwecke erforderlich und im Recht der Europäischen Union oder in einer Rechtsvorschrift vorgesehen ist, in der die Zwecke der Verarbeitung und die Kategorien der zu verarbeitenden personenbezogenen Daten festlegt sind.“
II. Sachverhalt, Verfahren und Vorlagefragen
21. Unter der Leitung der Rayonna prokuratura – Petrich (Rayonstaatsanwaltschaft Petrich, Bulgarien) wurde ein Verfahren (Nr. 252/2013 der Polizei Petrich)(6) zur Ermittlung eines strafrechtlich relevanten Sachverhalts(7) eingeleitet, der sich am 18. April 2013 zugetragen haben sollte.
22. Während dieser Ermittlungen wurden bei VS – zunächst in seiner Eigenschaft als Opfer – personenbezogene Daten erhoben.
23. Mit Entscheidungen der Staatsanwaltschaft vom 4. und 5. April 2018 wurden vier Personen (darunter VS) aufgrund dieses Sachverhalts als Beschuldigte belangt.
24. Am 10. November 2020 verfügte das Rayonen sad Petrich (Rayongericht Petrich, Bulgarien) die Einstellung des Verfahrens wegen Verjährung.
25. In den Jahren 2016 und 2017 leitete die Staatsanwaltschaft Petrich aufgrund mehrerer Anzeigen gegen VS eine Reihe von Ermittlungen(8) ein, die zu keinem Strafverfahren führten, da keine Anhaltspunkte für eine Strafbarkeit vorlagen.
26. 2018 erhob VS beim Okrazhen sad – Blagoevgrad (Regionalgericht Blagoevgrad, Bulgarien) eine zivilrechtliche Klage(9) gegen die Staatsanwaltschaft der Republik Bulgarien, mit der er Ersatz des durch die überlange Dauer des Ermittlungsverfahrens Nr. 252/2013 verursachten Schadens beantragte.
27. Zur Verteidigung gegen diese zivilrechtliche Klage beantragte die Staatsanwaltschaft bei diesem Gericht die Beiziehung der Handakten Nr. 517/2016 und Nr. 1872/2016 der Rayonstaatsanwaltschaft Petrich.
28. Mit Beschluss vom 15. Oktober 2018 gab das Okrazhen sad – Blagoevgrad (Regionalgericht Blagoevgrad) der Rayonstaatsanwaltschaft Petrich auf, Kopien der in den Handakten Nr. 517/2016 und Nr. 1872/2016 enthaltenen Unterlagen vorzulegen.
29. Am 12. März 2020 legte VS Beschwerde beim Inspektorat kam Visshia sadeben savet (Aufsichtsbehörde beim Obersten Justizrat, im Folgenden: IVSS) wegen eines Verhaltens ein, das er als eine in zweifacher Hinsicht rechtswidrige Verarbeitung seiner personenbezogenen Daten durch die Staatsanwaltschaft ansah, da diese
– die Daten, die bei ihm in seiner Eigenschaft als Opfer erhoben worden seien, missbräuchlich zur Weiterverarbeitung im Ermittlungsverfahren Nr. 252/2013 verwendet habe, als er Beschuldigter gewesen sei,
– seine in den Handakten Nr. 517/2016 und Nr. 1872/2016 enthaltenen Daten im Zivilverfahren Nr. 144/2018 verwendet habe.
30. Am 22. Juni 2020 wies das IVSS beide Beschwerdegründe von VS zurück.
31. VS hat diese Entscheidung des IVSS beim Administrativen sad Blagoevgrad (Verwaltungsgericht Blagoevgrad, Bulgarien) angefochten, das dem Gerichtshof folgende Fragen zur Vorabentscheidung vorgelegt hat:
1. Ist Art. 1 Abs. 1 der Richtlinie 2016/680 dahin auszulegen, dass bei der Angabe der Ziele die Begriffe „Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten“ als Aspekte eines allgemeinen Ziels aufgezählt werden?
2. Sind die Bestimmungen der DSGVO auf die Staatsanwaltschaft der Republik Bulgarien im Hinblick darauf anwendbar, dass Informationen über eine Person, die die Staatsanwaltschaft in ihrer Eigenschaft als „Verantwortlicher“ gemäß Art. 3 Nr. 8 der [Richtlinie 2016/680] zu einer über diese Person angelegten Handakte zur Überprüfung von Anhaltspunkten für eine Straftat erhoben hat, im Rahmen der gerichtlichen Verteidigung der Staatsanwaltschaft als Partei eines Zivilverfahrens – durch die Angabe, dass diese Akte angelegt wurde, oder durch die Überlassung des Akteninhalts – verwendet wurden?
2.1. Bei Bejahung dieser Frage:
Ist der Ausdruck „berechtigte Interessen“ in Art. 6 Abs. 1 Buchst. f der DSGVO dahin auszulegen, dass er die vollständige oder teilweise Offenlegung von Informationen über eine Person umfasst, die zu einer über diese Person zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten angelegten Handakte der Staatsanwaltschaft erhoben wurden, wenn diese Offenlegung zur Verteidigung des Verantwortlichen als Partei eines Zivilverfahrens geschieht, und wird die Einwilligung der betroffenen Person ausgeschlossen?
III. Verfahren vor dem Gerichtshof
32. Das Vorabentscheidungsersuchen ist am 23. März 2021 beim Gerichtshof eingegangen.
33. VS, das IVSS, die bulgarische, die tschechische und die niederländische Regierung sowie die Europäische Kommission haben sich am Verfahren beteiligt und schriftliche Erklärungen abgegeben.
34. Der Gerichtshof hat es nicht für erforderlich gehalten, eine öffentliche Verhandlung durchzuführen, was auch von keinem Beteiligten beantragt worden ist.
IV. Würdigung
A. Vorbemerkungen zum anwendbaren Unionsrecht
35. Die DSGVO und die Richtlinie 2016/680 stellen ein in sich kohärentes System dar, in dem
– die DSGVO die allgemeinen Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten festlegt,
– die Richtlinie 2016/680 Spezialvorschriften für die Verarbeitung dieser Daten im Bereich der justiziellen Zusammenarbeit in Strafsachen und der polizeilichen Zusammenarbeit enthält.
36. Der durch diese beiden Rechtsakte gewährte Schutz beruht auf den Grundsätzen der Rechtmäßigkeit, der Verarbeitung nach Treu und Glauben, der Transparenz und, was hier besonders von Interesse ist, dem Grundsatz der strengen Beschränkung der Erhebung und Verarbeitung von Daten auf die gesetzlich festgelegten Zwecke(10).
37. Insbesondere sieht Art. 5 Abs. 1 Buchst. b der DSGVO vor, dass die Daten „für festgelegte, eindeutige und legitime Zwecke erhoben werden und … nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden [dürfen]“(11); eine entsprechende Formulierung findet sich in der lex specialis, Art. 4 Abs. 1 Buchst. b der Richtlinie 2016/680.
38. Somit dürfen personenbezogene Daten nicht generell erhoben und verarbeitet werden, sondern nur zu bestimmten Zwecken(12) und unter den vom Unionsgesetzgeber festgelegten Bedingungen der Rechtmäßigkeit.
39. Der Grundsatz einer engen Verknüpfung zwischen der Erhebung und Verarbeitung der Daten einerseits und den Zwecken, denen beide Vorgänge dienen sollen, andererseits ist aber nicht absolut, da sowohl die DSGVO als auch die Richtlinie 2016/680, wie später noch darzulegen sein wird, eine gewisse Flexibilität ermöglichen.
40. Im Ausgangsverfahren hat das Verwaltungsgericht zu entscheiden, ob die Aufsichtsbehörde (das IVSS)(13) rechtmäßig handelte, als sie die Beschwerde zurückwies, mit der VS die bulgarische Staatsanwaltschaft der unrechtmäßigen Verarbeitung seiner personenbezogenen Daten beschuldigte.
41. Diese Daten waren, wie ich bereits ausgeführt habe, in zwei unterschiedlichen Zusammenhängen erhoben worden, und zwar
– im Rahmen strafrechtlicher Ermittlungen, die die Staatsanwaltschaft 2013 wegen eines Sachverhalts eingeleitet hatte, bei dem VS als mutmaßliches Opfer angesehen wurde; diese Daten wurden später im Rahmen desselben Strafverfahrens gegen VS in seiner Eigenschaft als Beschuldigter verwendet;
– bei erneuten Ermittlungen 2016 und 2017, die dieselbe Staatsanwaltschaft auf mehrere Strafanzeigen hin wegen eines Sachverhalts, der mit dem von 2013(14) nichts zu tun hatte, eingeleitet hatte und die sich u. a. gegen VS richteten. In diesem Fall beantragte die Staatsanwaltschaft (und das zuständige Gericht gab dem Antrag statt), die darin enthaltenen Daten verwenden zu können, um sich in dem Zivilverfahren zu verteidigen, in dem VS eine Entschädigung forderte.
42. Die Fragen des vorlegenden Gerichts beziehen sich somit auf
– die Rechtmäßigkeit der Verwendung der personenbezogenen Daten von VS zu zwei verschiedenen Zeitpunkten desselben Strafverfahrens (erste Vorlagefrage);
– die Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten von VS, die im Rahmen eines von der Staatsanwaltschaft eingeleiteten strafrechtlichen Ermittlungsverfahrens erhoben wurden und die die Staatsanwaltschaft im Rahmen eines Zivilrechtsstreits verwenden will, in dem sie verklagt worden ist (zweite Vorlagefrage).
43. Ich stimme mit dem vorlegenden Gericht und mit allen Beteiligten dieses Vorabentscheidungsverfahrens darin überein, dass die Verarbeitung personenbezogener Daten, die Gegenstand der ersten Vorlagefrage ist, unter die Richtlinie 2016/680 fällt.
44. Nach Art. 1 Abs. 1 und Art. 2 Abs. 1 der Richtlinie 2016/680 ist diese auf die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten anwendbar. Im vorliegenden Fall wurden die Daten von VS gerade im Zuge strafrechtlicher Ermittlungen erhoben und verarbeitet.
45. Was jedoch die Übermittlung personenbezogener Daten für die Zwecke des gegen die Staatsanwaltschaft eingeleiteten Zivilverfahrens betrifft (zweite Vorlagefrage), ist für die Frage, ob diese Übermittlung eine Datenverarbeitung für andere als die in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecke darstellt, die aber Teil einer Tätigkeit sind, die dem Unionsrecht unterliegt, auf die DSGVO abzustellen.
B. Erste Vorlagefrage: Weiterverwendung ad intra von personenbezogenen Daten, die zu Zwecken erhoben wurden, die in den Anwendungsbereich der Richtlinie 2016/680 fallen
46. Nach Art. 4 Abs. 2 der Richtlinie 2016/680 ist eine Verarbeitung durch denselben oder einen anderen Verantwortlichen für einen anderen der in Artikel 1 Absatz 1(15) genannten Zwecke als den, für den die personenbezogenen Daten erhoben werden, erlaubt, sofern
a) der Verantwortliche ordnungsgemäß dazu ermächtigt ist, die Daten für den neuen Zweck zu verarbeiten, und
b) die fragliche Verarbeitung für diesen anderen Zweck nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich und verhältnismäßig ist.
47. Die Richtlinie 2016/680 erlaubt somit die Weiterverwendung ad intra der personenbezogenen Daten, die nach Maßgabe ihrer Vorschriften erhoben wurden. Daten, die zu einem der in ihrem Art. 1 Abs. 1 genannten Zwecke erhoben wurden, können unter bestimmten Voraussetzungen auch für einen oder mehrere andere der der dort aufgeführten Zwecke verwendet werden.
48. Mit der ersten Vorlagefrage wird die Frage aufgeworfen, ob die personenbezogenen Daten von VS, die erhoben wurden, als er noch als mutmaßliches Opfer der in Rede stehenden Straftat angesehen wurde, anschließend im Rahmen desselben Strafverfahrens, in dem er dann Beschuldigter oder Angeklagter ist, zu seinem Nachteil verarbeitet werden können.
49. Mit anderen Worten ist zu prüfen, ob die personenbezogenen Daten von VS für denselben Zweck verarbeitet worden sind, der ihre ursprüngliche Erhebung rechtfertigte, oder vielmehr für zwei verschiedene Zwecke, die beide in den Anwendungsbereich der Richtlinie 2016/680 fallen. Wäre dies der Fall, würde die Verarbeitung den besonderen Bedingungen von Art. 4 Abs. 2 dieser Richtlinie unterliegen.
50. Das vorlegende Gericht hat seine erste Frage in Bezug auf den Gegenstand des Rechtsstreits nicht ganz eindeutig formuliert. Wörtlich genommen möchte es wissen, ob Art. 1 Abs. 1 der Richtlinie 2016/680 „dahin [auszulegen ist], dass bei der Angabe der Ziele die Begriffe ‚Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten‘ als Aspekte eines allgemeinen Ziels aufgezählt werden“.
51. In Anbetracht der Ausführungen des vorlegenden Gerichts wäre es vielleicht angebracht, seine erste Frage, wie die Parteien und die sonstigen Beteiligten dieses Vorabentscheidungsverfahrens angeregt haben, umzuformulieren. Worum es hier wirklich geht (und was auch Gegenstand der Beschwerde von VS war), ist weniger das abstrakte Verhältnis zwischen allgemeinem und konkretem Zweck als vielmehr die Frage, ob im Rahmen eines Strafverfahrens, das unter die Richtlinie 2016/680 fällt, der Zweck, der zur Erhebung der Daten einer Person in deren Eigenschaft als mutmaßliches Opfer einer Straftat geführt hat, fortbesteht, wenn diese Daten dazu führen, dass sie später im Rahmen desselben Verfahrens zum Beschuldigten wird.
52. Die am Wortlaut orientierte Auslegung von Art. 1 Abs. 1 der Richtlinie 2016/680 zeigt, dass sich bei dieser Vorschrift drei Arten von Zwecken unterscheiden lassen, die unterschiedlichen Zeitpunkten und Tätigkeiten entsprechen:
– zum einen der Zweck der „Verhütung“, einschließlich der „Verhütung“ von Gefahren für die öffentliche Sicherheit;
– zum anderen der Zweck der „Ermittlung“ (im weiteren Sinne) strafrechtlich relevanter Sachverhalte, der ihre Aufdeckung, ihre Ermittlung im engeren Sinne und die Verfolgung der Straftaten umfasst;
– schließlich der Zweck der „Strafvollstreckung“.
53. In systematischer Hinsicht, also von seinem Kontext her, legt Art. 4 Abs. 2 der Richtlinie 2016/680 nahe, diese Ziele isoliert zu betrachten. Andernfalls wäre, wie die niederländische Regierung hervorgehoben hat, diese Bestimmung gegenstandslos, da sie sich gerade auf „einen anderen der in Artikel 1 Absatz 1 genannten Zwecke“ bezieht.
54. Von dieser Prämisse ausgehend werde ich versuchen, zu erläutern, weshalb die in Rede stehenden Daten im vorliegenden Fall zu einem der in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecke (dem der „Ermittlung“) erhoben und verarbeitet wurden, was ausschlagegebend für die Anwendbarkeit der Richtlinie und die damit einhergehende Rechtmäßigkeit der Verarbeitung ist.
55. Davon abgesehen wäre, wenn mit der Sammlung und Verarbeitung zwei der in Art. 4 Abs. 2 der Richtlinie 2016/680 aufgeführten Zwecke verfolgt worden wären, ihre Rechtmäßigkeit ebenfalls nicht zu bestreiten.
1. Derselbe Zweck
56. Im Rahmen strafrechtlicher Ermittlungen lässt sich nicht immer von vornherein feststellen, welcher prozessuale Status den Beteiligten zukommt. Mit diesen Ermittlungen wird in zahlreichen Fällen versucht, die Personen, die dem ersten Anschein nach Täter, Geschädigte oder Zeugen des Sachverhalts sind, als solche festzustellen und damit zu „kategorisieren“.
57. In dieser Vorbereitungsphase ist es logisch, dass eine gewisse Flexibilität bei der Kategorisierung besteht. Die Ermittlungen müssen nach Maßgabe der Ergebnisse, die sich nach und nach zeigen, dazu führen, dass die Verfahrensstellung dieser Personen genau feststeht, wenn der Sachverhalt dann vom Gericht beurteilt wird.
58. Dies ist insbesondere in Fällen wie dem vorliegenden so. Nach den Angaben des vorlegenden Gerichts kam es zwischen mehreren Personen zu gegenseitigen Angriffen. Eine dieser Personen, die ursprünglich Opfer zu sein schien, wurde schließlich als Täter dieser Angriffe angeklagt.
59. Vor diesem Hintergrund entspricht die entfaltete Tätigkeit insgesamt dem Begriff der „Ermittlung“ im Sinne von Art. 1 Abs. 1 der Richtlinie 2016/680. Es handelt sich somit um einen einzigen Zweck, und zwar um einen der „Zwecke“, denen die Verarbeitung personenbezogener Daten dienen kann.
60. Das vorlegende Gericht hat allerdings Zweifel, ob diese Auslegung von Art. 1 Abs. 1 der Richtlinie 2016/680 mit deren 31. Erwägungsgrund(16) vereinbar ist.
61. Ich stimme mit der Mehrheit der Beteiligten überein, dass dieser Erwägungsgrund ebenso wie Art. 6 der Richtlinie 2016/680, der ihn übernimmt, für die Feststellung, ob eine Zweckänderung im Sinne von Art. 4 Abs. 2 dieser Richtlinie vorliegt, unerheblich ist.
62. Nach Art. 6 der Richtlinie 2016/680 findet die klare Unterscheidung zwischen personenbezogenen Daten der verschiedenen Kategorien betroffener Personen nur „gegebenenfalls und so weit wie möglich“ statt. Aus den oben dargelegten Gründen ist es nicht leicht, die „verschiedenen Kategorien betroffener Personen“ im Rahmen der ersten Ermittlungen eines Sachverhalts wie des vorliegenden von Beginn an klar zu bestimmen. Außerdem kann ein am hier in Rede stehenden Sachverhalt Beteiligter zugleich Opfer und Täter der Angriffe sein.
63. Selbst wenn der für die Verarbeitung der im Rahmen der Ermittlungen erlangten Daten Verantwortliche zu Beginn und während der Dauer der Ermittlungen klar zwischen Opfern, Verdächtigen und Zeugen unterscheiden könnte, würde sich der der Erhebung und Verarbeitung dieser Daten zugrunde liegende Zweck (die Ermittlung) nicht ändern.
64. Mit anderen Worten: Dass Personen, die in einer strafrechtlichen Ermittlung erscheinen, nacheinander die eine oder andere Eigenschaft (als Opfer, Zeuge oder anderer Beteiligter) zugeschrieben wird, führt nicht zwangsläufig zu einer Änderung der Zwecke im Sinne von Art. 4 Abs. 2 der Richtlinie 2016/680.
2. Zwei miteinander konkurrierende Zwecke
65. Hilfsweise – sollte doch der in Art. 4 Abs. 2 der Richtlinie 2016/680 beschriebene Fall vorliegen – hätte die Verarbeitung der in Rede stehenden personenbezogenen Daten den in dieser Richtlinie aufgestellten Rechtmäßigkeitsvoraussetzungen entsprochen. In diesem Sinne haben sich die bulgarische und die tschechische Regierung geäußert, denen ich insoweit zustimme.
66. Obwohl es Sache des vorlegenden Gerichts ist, dies zu überprüfen, scheinen keine Zweifel daran zu bestehen, dass die bulgarische Staatsanwaltschaft nach nationalem Recht die Behörde ist, die für die Verarbeitung der personenbezogenen Daten von VS „für einen anderen der in Artikel 1 Absatz 1 genannten Zwecke als den, für den die personenbezogenen Daten erhoben werden“, verantwortlich ist. Die erste Voraussetzung nach Art. 4 Abs. 2 Buchst. a der Richtlinie 2016/680 ist somit erfüllt.
67. Hinsichtlich der zweiten, in Art. 4 Abs. 2 Buchst. b dieser Richtlinie festgelegten Voraussetzung (dass „die Verarbeitung für diesen anderen Zweck … erforderlich und verhältnismäßig ist“) bin ich der Auffassung, dass
– ihre Erforderlichkeit aufgrund der Unsicherheit und der Unbestimmtheit der ersten strafrechtlichen Ermittlungen gegeben ist;
– es Sache des vorlegenden Gerichts ist, die Verhältnismäßigkeit zu beurteilen und dabei abzuwägen, ob die Verarbeitung auf das für die Erreichung des verfolgten Zwecks unbedingt erforderliche Mindestmaß beschränkt wurde.
68. Auf diese Rechtssache angewandt, sind die Voraussetzungen von Art. 4 Abs. 2 der Richtlinie 2016/680 von geringer Bedeutung, und es bestätigt sich, dass die Erhebung der in Rede stehenden Daten einem einzigen Zweck dient: Zwischen ihrer ersten Verarbeitung und der Verarbeitung, aufgrund derer der Beteiligte später beschuldigt wurde, besteht eine logische Kontinuität.
69. Es wäre deshalb weder erforderlich, die Zuständigkeit eines neuen für die Datenverarbeitung Verantwortlichen (der ja doch derselbe bliebe) zu bestätigen, noch wäre es schwierig, die Erforderlichkeit der zweiten Verarbeitung (die im Rahmen desselben Verfahrens erfolgt) nachzuweisen, wenn das Kriterium der Verhältnismäßigkeit bei jeder Verarbeitung vorliegen muss, wie sich aus den in Art. 4 Abs. 1 der Richtlinie 2016/680 aufgeführten Grundsätzen ergibt.
C. Zweite Vorlagefrage: Weiterverwendung ad extra der erhobenen personenbezogenen Daten
70. Gemäß Art. 9 Abs. 1 der Richtlinie 2016/680 besteht die Möglichkeit, die personenbezogenen Daten, die nach den Vorschriften der Richtlinie erhoben wurden, ad extra weiterzuverwenden.
71. Geht man von der Regel aus, dass diese Daten „nicht für andere als die in Artikel 1 Absatz 1 genannten Zwecke verarbeitet werden“ dürfen, legt Art. 9 Abs. 1 der Richtlinie 2016/680 die Ausnahme fest, dass „eine derartige Verarbeitung … nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zulässig ist“. In diesem Fall ist die DSGVO anzuwenden (solange die Tätigkeit in den Anwendungsbereich des Unionsrechts fällt).
72. Mit seiner zweiten Vorlagefrage möchte das vorlegende Gericht wissen,
– ob die DSGVO auf einen Fall anzuwenden ist, in dem die Informationen, die in einer von der Staatsanwaltschaft eingeleiteten strafrechtlichen Ermittlung gewonnen wurden, anschließend von der Staatsanwaltschaft im Rahmen eines vom Inhaber der Daten gegen sie angestrengten Zivilverfahrens als Verteidigungsmittel verwendet werden;
– wenn ja, ob dann die Wendung „berechtigte Interessen“ in Art. 6 Abs. 1 Buchst. f der DSGVO auch die Bereitstellung der streitigen Daten zur Verteidigung der Staatsanwaltschaft in diesem Zivilverfahren umfasst.
1. Zulässigkeit der Frage
73. Das IVSS hält die zweite Vorlagefrage für unzulässig, da die Beschwerde von VS seinerzeit als verspätet zurückgewiesen worden sei.
74. Ich teile diesen Einwand nicht.
75. Der Gerichtshof kann die Beantwortung einer Vorlagefrage eines nationalen Gerichts nur verweigern, wenn die erbetene Auslegung des Unionsrechts offensichtlich in keinem Zusammenhang mit den Gegebenheiten oder dem Gegenstand des Ausgangsrechtsstreits steht, wenn das Problem hypothetischer Natur ist oder wenn der Gerichtshof nicht über die tatsächlichen und rechtlichen Angaben verfügt, die für eine zweckdienliche Beantwortung der ihm vorgelegten Fragen erforderlich sind(17).
76. Der Einwand des IVSS bezieht sich auf einen Punkt, der in die ausschließliche Zuständigkeit des vorlegenden Gerichts fällt. Es obliegt ausschließlich diesem, in eigener Verantwortung den rechtlichen und sachlichen Rahmen der dem Gerichtshof vorgelegten Frage festzulegen(18).
77. Sowohl die Beurteilung der Verfristung, auf die das IVSS hingewiesen hat, als auch die Beurteilung ihrer Erheblichkeit für den Rechtsstreit kommen allein dem vorlegenden Gericht zu. In dieser Rechtssache hat das vorlegende Gericht betont, die Frage sei trotz der vom IVSS geltend gemachten Verfristung für die Entscheidung im Ausgangsverfahren erheblich(19).
78. Diese Beurteilung darf vom Gerichtshof nicht in Frage gestellt werden, der sich grundsätzlich an die Auslegung und Anwendung des nationalen Rechts – des Verfahrensrechts wie des materiellen Rechts – durch die Gerichte halten muss, wenn sie den Rahmen festlegen, auf den sich das Vorabentscheidungsersuchen bezieht.
2. Beantwortung der Frage
79. In Anbetracht der Gründe, die das vorlegende Gericht zur Rechtfertigung der zweiten Vorlagefrage angeführt hat, geht es ihm vornehmlich darum, festzustellen, ob die Übermittlung der streitigen Daten eine „Verarbeitung von Daten“ im Sinne von Art. 4 Nrn. 1 und 2 der DSGVO darstellt und ob diese Verarbeitung nach Art. 6 dieser Verordnung rechtmäßig war(20).
a) Vorliegen einer Verarbeitung der Daten
80. Die Begriffe „personenbezogene Daten“ und „Verarbeitung“ sind in Art. 4 Nrn. 1 und 2 der DSGVO und Art. 3 Nrn. 1 und 2 der Richtlinie 2016/680 gleichlautend definiert.
81. Aus diesen Definitionen leite ich ab, dass die Staatsanwaltschaft zu ihrer Verteidigung vor dem Zivilgericht „Informationen, die sich auf eine identifizierte … natürliche Person … beziehen“, verwenden wollte, zu denen „personenbezogene Daten“ von VS gehörten.
82. Bei der Übermittlung dieser personenbezogenen Daten im Zivilverfahren sind mehrere „Vorgänge“, die eine „Datenverarbeitung“ darstellen, ohne Einwilligung der betroffenen Person vorgenommen worden. Zumindest war es erforderlich, dass die Staatsanwaltschaft selbst die Daten konsultiert hat, um ihren etwaigen Nutzen zur Verteidigung ihres Standpunkts im Rahmen des Zivilverfahrens zu beurteilen. Ich gehe außerdem davon aus, dass die Daten zu demselben Zweck – wenn auch nur minimal – organisiert, strukturiert, angepasst oder geändert und selbstverständlich übermittelt und verbreitet wurden, als die Staatsanwaltschaft beantragte, sie im Zivilverfahren beizuziehen(21).
83. Letztlich hat die Staatsanwaltschaft, indem sie die personenbezogenen Daten von VS erfasst, in ihre Archive aufgenommen, gespeichert, konsultiert und beim Zivilgericht die Zulassung der aus den strafrechtlichen Ermittlungen hervorgegangenen Informationen als Beweis beantragt hat, eine Verarbeitung der Daten von VS vorgenommen.
84. Das IVSS und die Kommission machen geltend, die Staatsanwaltschaft könne nur insoweit „für die Verarbeitung Verantwortlicher“ sein, als sie die für die strafrechtlichen Zwecke zuständige Behörde im Sinne der Richtlinie 2016/680 sei.
85. Dies bedeutet meines Erachtens allerdings nicht, dass die zweite Vorlagefrage gegenstandslos wäre, wie das IVSS behauptet, sondern vielmehr, dass die Rechtmäßigkeit der Verarbeitung gemäß Art. 9 Abs. 1 der Richtlinie 2016/680 anhand der DSGVO zu prüfen ist.
86. Der für die Entscheidung des Zivilrechtsstreits zuständige Richter ist der für die Verarbeitung der Daten in diesem Verfahren Verantwortliche, wenn sie in diesem Verfahren beigezogen werden. Seine Entscheidungen sind gemäß Art. 55 Abs. 3 der DSGVO der Überprüfung durch die Aufsichtsbehörde entzogen, soweit sie im Rahmen seiner justiziellen Tätigkeit ergehen(22).
87. Das vorlegende Gericht beschränkt seine Frage allerdings darauf, ob die DSGVO anwendbar ist, wenn die Staatsanwaltschaft versucht, Informationen, die sie als „für die Verarbeitung Verantwortlicher“ im Sinne der Richtlinie 2016/680 erlangt hat, für ihre Verteidigung im Zivilverfahren zu verwenden.
88. Aus den angeführten Gründen bin ich der Auffassung, dass die DSGVO anwendbar ist, da die Verteidigung der Staatsanwaltschaft in einem Zivilverfahren nicht unter die in Art. 1 Abs. 1 der Richtlinie 2016/680 genannten Zwecke subsumiert werden kann.
b) Rechtmäßigkeit der Verarbeitung im Licht der DSGVO
89. Unter welchen Voraussetzungen eine Verarbeitung personenbezogener Daten rechtmäßig ist, ist in Art. 6 Abs. 1 der DSGVO geregelt: „Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist“, die anschließend genannt werden. Die dortige Aufzählung ist abschließend(23).
90. Von diesen Bedingungen liegen meines Erachtens weder die Einwilligung der betroffenen Person (Buchst. a) noch die Erfüllung eines Vertrags (Buchst. b), die Erfüllung einer rechtlichen Verpflichtung (Buchst. c)(24) oder der Schutz lebenswichtiger Interessen der betroffenen Person oder eines Dritten (Buchst. d) vor.
91. Nach Ansicht des vorlegenden Gerichts ist die Bedingung in Art. 6 Abs. 1 Buchst. f der DSGVO erfüllt. Nach Auffassung der Kommission ist dies nach Unterabs. 2 dieses Absatzes jedoch in der vorliegenden Rechtssache ausgeschlossen, da diese Bedingung „nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung [gilt]“(25).
92. In ihrer Antwort auf eine Frage des Gerichtshofs hat die bulgarische Regierung, insoweit unterstützt von der tschechischen und der niederländischen Regierung, ihre Auffassung bekräftigt, dass die in Art. 6 Abs. 1 Buchst. f der DSGVO vorgesehene Bedingung anwendbar sei. Sie führt die Notwendigkeit an, „die Art der von der Staatsanwaltschaft ausgeübten Tätigkeit“ zu berücksichtigen, die, obwohl sie eine öffentliche Einrichtung sei, in Zivilprozessen „gleichrangige Partei“ sein könne(26).
93. Die „berechtigten Interessen“, die die Staatsanwaltschaft als Trägerin öffentlicher Gewalt in einem Prozess, in dem sie wegen ihres prozessualen Vorgehens in Anspruch genommen wird, verteidigt, sind jedoch von dem in Art. 6 Abs. 1 Buchst. f der DSGVO genannten Fall ausgenommen, da der letzte Unterabsatz dieses Absatzes dies ausdrücklich vorsieht.
94. Für Behörden, die in Erfüllung der ihnen gesetzlich zugewiesenen Aufgaben tätig werden (hier den staatlichen Strafanspruch geltend zu machen und den Staat gegenüber Staatshaftungsklagen zu vertreten), ist das maßgebliche Interesse im Sinne von Art. 6 Abs. 1 der DSGVO das öffentliche Interesse, dem sie nach Buchst. e dieser Bestimmung dienen.
95. Bei der Bedingung in Buchst. f geht es um die Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.
96. Diese Klausel betrifft daher weniger die Verteidigungsmöglichkeiten der öffentlichen Gewalt – die gegebenenfalls unter Buchst. e fallen – als vielmehr die etwaige Vorrangigkeit der Interessen, Rechte und Freiheiten der betroffenen Person gegenüber dem für die Verarbeitung Verantwortlichen oder gegenüber einem Dritten. Sie gilt eher für Streitigkeiten zwischen (privaten) Parteien, deren Interessen nicht öffentlicher Art sind.
97. Da die Staatsanwaltschaft definitionsgemäß in ihrer Eigenschaft als staatliche Einrichtung handelt, ist zu daher prüfen, ob die streitige Verarbeitung unter Art. 6 Abs. 1 Buchst. e der DSGVO fällt.
98. Dies wäre dann der Fall, wenn die Verarbeitung „für die Wahrnehmung einer Aufgabe erforderlich [wäre], die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde“.
99. Ich werde mich auf den ersten dieser beiden Zwecke beschränken, ohne auf den zweiten eingehen zu müssen(27), und prüfen, ob die Mitwirkung der Staatsanwaltschaft in dem Zivilverfahren, in dem sie wegen ihres Verhaltens auf Entschädigung in Anspruch genommen wird, in Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe erfolgt.
100. Nach nationalem Recht(28) ist die Staatsanwaltschaft dafür zuständig, den Staat in Verfahren über eine außervertragliche Haftung für Schäden zu vertreten, die er durch sein verzögertes Handeln verursacht hat. In eben diesem Umfang wird die Staatsanwaltschaft in Verteidigung der allgemeinen (finanziellen) Interessen des Staates und damit in Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe tätig(29).
101. Art. 9 Abs. 1 der Richtlinie 2016/680 macht die Weiterverwendung ad extra der in den Handakten enthaltenen Daten davon abhängig, dass ihre Verarbeitung nach dem Unionsrecht oder nach dem Recht des Mitgliedstaats zulässig ist. Soweit hier von Belang, ist es Sache des vorlegenden Gerichts, zu prüfen, ob diese Zulässigkeit vorliegt, wenn die im öffentlichen Interesse liegende Aufgabe der Staatsanwaltschaft, die staatlichen Vermögensinteressen zu verteidigen, erfüllt wird.
102. Nach Art. 6 Abs. 3 der DSGVO kann die Rechtsgrundlage für die Verarbeitungen gemäß Abs. 1 Buchst. e „spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften“ der DSGVO selbst enthalten(30). Wird diese Rechtsgrundlage im Recht des Mitgliedstaats festgelegt, das für den für die Verarbeitung Verantwortlichen gilt, ist es Sache des nationalen Gerichts, sie zu bestimmen(31).
103. Schließlich ist, auch wenn das vorlegende Gericht die einschlägige Rechtsgrundlage nicht angegeben hat, die Vereinbarkeit der streitigen Verarbeitung mit dem Ziel, zu dem die streitigen Daten erhoben wurden, an Art. 6 Abs. 4 der DSGVO zu messen. Insoweit sind u. a. zu berücksichtigen: jede Verbindung zwischen den ursprünglichen Zwecken und dem nun verfolgten Zweck, der Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, und die Art dieser Daten, die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffene Person und das Vorhandensein geeigneter Garantien.
V. Ergebnis
104. Nach alledem schlage ich dem Gerichtshof vor, dem Administrativen sad – Blagoevgrad (Verwaltungsgericht Blagoevgrad, Bulgarien) wie folgt zu antworten:
1. Art. 4 Abs. 2 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates ist dahin auszulegen, dass die bei einer Person in ihrer Eigenschaft als mutmaßliches Opfer einer Straftat im Rahmen eines Strafverfahrens erhobenen Daten zu demselben Zweck verarbeitet werden, der ihre Erhebung rechtfertigte, wenn diese Person in demselben Strafverfahren später zum Beschuldigten wird.
2. Art. 9 Abs. 1 der Richtlinie 2016/680 ist dahin auszulegen, dass die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG auf die Verwendung der im Zuge eines Ermittlungsverfahrens erlangten Informationen durch die Staatsanwaltschaft zur Verteidigung in einem Zivilverfahren Anwendung findet.
3. Es liegt eine „Verarbeitung personenbezogener Daten“ im Sinne von Art. 4 Nr. 1 der Verordnung 2016/679 vor, wenn im Zuge eines Ermittlungsverfahrens erhobene personenbezogene Daten nach ihrer Erfassung, Speicherung und Konsultation zur Verteidigung der Staatsanwaltschaft in einem Zivilverfahren, in dem eine Entschädigung für den Schaden begehrt wird, der aufgrund ihres Verhaltens in Ausübung ihrer Amtstätigkeit entstanden sein soll, übermittelt werden.
4. Für die Rechtmäßigkeit einer solchen Verarbeitung kann grundsätzlich Art. 6 Abs. 1 Buchst. e der Verordnung 2016/679 angeführt werden.